🕸️ 유형 RAT(Remote Access Trojan) / C&C 통신형 멀웨어 · 🎓 환경 GNS3 가상 네트워크 (교육용)

목표 — 멀웨어의 네트워크 구조·통신 방식·악성 기능을 분석하고 C&C 제어 흐름을 파악

📋 실습 개요

ℹ️ 모든 IP·호스트는 격리된 가상 네트워크(GNS3) 상의 교육용 구성으로, 실제 인터넷과 분리된 환경에서 진행한 분석임.

🖧 1단계 · 네트워크 구성 분석

멀웨어가 동작하는 가상 네트워크는 다수의 라우터(R1~R4)로 세그먼트가 분리되어 있으며, 공격자·피해자·C&C 서버가 서로 다른 대역에 위치함.

🗺️ 네트워크 토폴로지

• R1 — 중심 라우터, fake site(Cloud1) 및 인터넷 게이트웨이 192.168.0.254/24 연결
• R2 → Win7-1 — 피해자 PC 125.246.95.0/24 (1.1.1.0/30 링크)
• R3 → RS-1 — C&C 서버 54.69.185.61 (2.2.2.0/30 링크)
• R4 → Hacker-1 — 공격자 PC 100.100.100.0/24 (3.3.3.0/30 링크)

GNS3 네트워크 토폴로지

이 구조에서 피해자(Win7-1) 는 R1·R2를 거쳐 C&C 서버(RS-1) 와 통신하고, 공격자(Hacker-1) 는 R4·R1을 경유해 C&C 서버를 제어함.

🐍 2단계 · 멀웨어 코드 분석

멀웨어는 Python으로 작성되었으며, 감염된 클라이언트 IP 목록을 수집해 AES로 암호화한 뒤 C&C 서버로 전송하는 구조임.

🔑 핵심 함수 — sendIPList()

감염 클라이언트(toVirus)의 IP를 문자열로 조합한 뒤, 패킷 객체(Packet)에 담아 AES 키로 암호화(encryptData) 하여 전송함.